Distributed detection of DDoS attacks in machine learning-enabled software defined networks

Software Defined Networking (SDN) provides several advantages compared to traditional network architectures as it enables efficient equipment control, high reconfigurability and especially network automation. However, due to its centralized vision, SDN controllers are regarded as vulnerable victims of cyber attacks, such as Distributed Denial of Sevice (DDoS), that may hinder proper controller functioning by exhausting its resources with malicious packets. As a consequence, the entire network behavior can be affected and so also the transport of legitimate traffic. To address this issue, early detection of DDoS attacks can be implemented by leveraging data plane programmability and exploiting efficient DDoS attacks detection mechanisms as enabled by machine learning algorithms. A distributed detection architecture can be defined as programmable switches run ML-classiffiers in order to classify ongoing traffic as attack or legitimate and the DDoS attacks can be mitigated by blocking the detected attack traffic. In this thesis we develop different ML models to perform in-network DDoS attacks detection. Using various ML algorithms, we compare different DDoS attacks detection architectures, namely distributed and centralized, in terms of classiffication accuracy and under different network scenarios. We found that the MLassisted DDoS attacks detection developed in this thesis can be performed in around 90 microseconds providing up to 99.89% accuracy even under low attack rates. Moreover, for the considered scenarios, the duration of training is always below 10.4 s for all ML algorithms.

L'architettura di rete di tipo Software Defined Networking (SDN) offre numerosi vantaggi rispetto alle architetture di rete tradizionali in quanto consente un controllo efficiente delle risorse di rete, un'elevata riconfigurabilità e soprattutto l'automazione della rete. Tuttavia, a causa della visione entralizzata dell'architettura SDN, i controller SDN costituiscono un punto nevralgico e vulnerabili agli attachi informatici, come ad esempio Distributed Denial of Sevice (DDoS), che possono ostacolare il corretto funzionamento del controller impegnandone le risorse per l'elaborazione di traffico non legittimo. Di conseguenza, l'intero comportamento della rete è interessato dall'attacco, con un impatto sul trasporto del legittimo traffico dati d'utente. Per risolvere questo problema, è utile implementare metodi di individuazione degli attacchi DDoS (attack detection) sfruttando il concetto di data plane programmability e i meccanismi di rilevamento degli attacchi DDoS, basati ad esempio su algoritmi di Machine Learning (ML). Un'architettura distribuita per l'individuazione degli attacchi può essere definita grazie all'uso di switch programmabili che implementano dei classificatori basati su ML per individuare se il traffico analizzato è legittimo, così da mitigare l'impatto degli attacchi DDoS. In questa tesi sviluppiamo diversi modelli ML per eseguire il rilevamento di attacchi DDoS in reti SDN. Utilizzando vari algoritmi basati su ML, confrontiamo diverse architetture di rilevamento degli attacchi DDoS, ovvero distribuite e centralizzate, in termini di accuratezza della classificazione e in diversi scenari di rete. I risultati numerici ottenuti mostrano che il rilevamento degli attacchi DDoS può essere effettuato in un tempo pari a circa 90 microsecondi e con accuratezza di classificazione che raggiunge il 99.89%. Inoltre, per i casi di studio analizzati, il tempo necessario per il training degli algoritmi di ML è sempre al disotto di 10.4 s, indipendentemente dall'algoritmo adottato.